Sophos Wireless Access Point の脆弱性 CVE-2025-10159 が FIX：認証バイパスの恐れ

Sophos Wireless Access Point Vulnerability Allows Attackers to Bypass Authentication

2025/09/10 gbhackers — Sophos が公開したのは、AP6 Series Wireless Points に存在する、深刻な認証バイパスの脆弱性 CVE-2025-10159 に対応する、重要なセキュリティ・アドバイザリである。影響を受けるデバイスの管理インターフェイスにアクセスできる攻撃者が、この脆弱性を悪用すると、完全な管理者権限を取得する可能性がある。定期的な社内セキュリティ・テストを通じて、この問題を発見した Sophos は、すでにファームウェア・アップデートをリリースし、潜在的な攻撃から顧客を保護している。

脆弱性の概要

この脆弱性 CVE-2025-10159 が影響を及ぼす範囲は、Sophos AP6 Series Wireless Points のファームウェア・バージョン 1.7.2563 (MR7) 未満となる。

このアクセス・ポイントの管理 IP アドレスに到達できる攻撃者は、認証チェックをバイパスし、デバイス上の昇格した制御権を取得する可能性がある。

CVE	Severity	Product(s)	Workaround
CVE-2025-10159	Critical	Sophos Wireless	None

この脆弱性を悪用されると、ワイヤレス設定／ネットワーク・セグメンテーション・ルール／ログ・コンフィグレーションなどが不正に変更され、ネットワーク全体の侵害につながる可能性がある。

現時点で回避策は存在しないが、修正済みファームウェアが公開済みである。Sophos のデフォルト自動アップデート・ポリシーを有効にしているユーザーは、追加の操作を行うことなく修正版の利用が可能である。また、自動アップデートを無効化しているユーザーは、手動でファームウェアを適用する必要がある。

ワイヤレス・アクセス・ポイントは、ユーザー・デバイスと企業ネットワークの間の重要なゲートウェイであり、パッチが適用されない状態では、攻撃者に以下の行為を許す可能性がある。

• ワイヤレス・ネットワークのコンフィグを変更して、ユーザー・トラフィックを傍受／操作する。
• 偽のワイヤレス・ネットワークを作成し、暗号化設定を弱体化する。
• 正規のデバイス接続を悪用して、社内システムに侵入する。

攻撃には管理 IP へのアクセスが必要であるため、多くの環境では、社内ネットワークや専用管理 VLAN の悪用が前提となる。しかし、ネットワークのミスコンフィグや管理ポートの公開により、社外から攻撃を受けるリスクがある。

推奨される対応策

すでに Sophos は、2025年8月11日にリリースしたファームウェア 1.7.2563 (MR7)で、この問題に対処している。ネットワークを保護するために、以下の手順を実施する必要がある。

1. すべての Sophos AP6 Series Wireless Points のファームウェア・バージョンを確認する。
2. バージョンが 1.7.2563 (MR7) 未満であれば、直ちにアップデートをダウンロードしてインストールする。
3. 自動アップデートが無効な環境では、メンテナンス・ウィンドウを設定して速やかにアップグレードを適用する。
4. 管理ダッシュボードでファームウェア・バージョンを確認し、インストールが正常に完了したことを確認する。

Sophos のデフォルト・アップデート・ポリシーを利用している場合には、追加の対応は不要である。ただし、それ以外のユーザーは、このアップデートを最優先で適用し、潜在的な侵害を回避すべきである。

Sophos の AP6 Series の脆弱性を悪用する攻撃者は、認証バイパスを可能にするとのことです。つまり、本来ならログインが必要な管理インターフェイスに、チェックをすり抜けて侵入できてしまう問題が生じています。この欠陥を突かれると、攻撃者はワイヤレス設定やネットワーク分離のルールを勝手に変更でき、結果としてネットワーク全体の安全性が損なわれる恐れがあると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Sophos で検索も、ご参照ください。